DE102004040059A1

DE102004040059A1 - Method and device for safety-related wireless signal transmission

Info

Publication number: DE102004040059A1
Application number: DE102004040059A
Authority: DE
Inventors: Uwe Danzer; Robert Kagermeier; Donal Medlar; Dietmar Sierk; Reiner Staab
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2004-08-18
Filing date: 2004-08-18
Publication date: 2006-02-23
Also published as: US20080034248A1; US8014725B2; WO2006018409A1

Abstract

Es werden ein einfach zu realisierendes Verfahren zur sicherheitsgerichteten drahtlosen Signalübertragung sowie eine zugehörige Vorrichtung (15) angegeben, wobei letztere eine Quelleneinheit (16) und eine mit dieser über eine drahtlose Übertragungsstrecke (13) verbundene Senkeneinheit (17) umfasst. Dabei ist vorgesehen, dass quellenseitig ein Eingangssignal (S¶E¶) dupliziert und jede Kopie (S¶K1¶, S¶K2¶) des duplizierten Eingangssignals (S¶E¶) auf einem separaten, unabhängigen Softwarepfad (29, 30) einem Sendermodul (25) zugeführt wird, dass alle Kopien (S¶K1¶, S¶K2¶) von dem Sendermodul (25) über die gemeinsame drahtlose Übertragungsstrecke (13) an ein Empfängermodul (25) der Senkeneinheit (17) übermittelt werden, dass senkenseitig jede übermittelte Kopie (S¶K1¶, S¶K2¶) separat auf einem unabhängigen Softwarepfad (37, 38) einem Vergleichermodul (41) zugeführt wird und dass mittels des Vergleichermoduls (41) die ausgegebenen Kopien (S¶K1¶, S¶K2¶) auf ihre Konsistenz getestet werden, wobei im Konsistenzfall durch das Vergleichermodul (41) ein den Kopien (S¶K1¶, S¶K2¶) entsprechendes Ausgangssignal (S¶A¶) erzeugt wird.The invention relates to an easily implementable method for safety-related wireless signal transmission and to an associated device (15), the latter comprising a source unit (16) and a sink unit (17) connected thereto via a wireless transmission link (13). It is provided that an input signal (S¶E¶) is duplicated on the source side and each copy (S¶K1¶, S¶K2¶) of the duplicated input signal (S¶E¶) is duplicated on a separate, independent software path (29, 30) Transmitter module (25) is supplied, that all copies (S¶K1¶, S¶K2¶) are transmitted from the transmitter module (25) via the common wireless transmission link (13) to a receiver module (25) of the sink unit (17) at the bottom, each transmitted copy (S¶K1¶, S¶K2¶) is fed separately to a comparator module (41) on an independent software path (37, 38), and by means of the comparator module (41) the output copies (S¶K1¶, S ¶K2¶) are tested for their consistency, wherein in the case of consistency by the comparator module (41) a copy (S¶K1¶, S¶K2¶) corresponding output signal (S¶A¶) is generated.

Description

Die Erfindung bezieht sich auf ein Verfahren zur sicherheitsgerichteten drahtlosen Signalübertragung, insbesondere zur Übertragung eines sicherheitsrelevanten Steuersignals bei einer medizinischen Diagnostik- oder Therapieanlage. Die Erfindung bezieht sich weiterhin auf eine Vorrichtung zur Durchführung des genannten Verfahrens.The The invention relates to a method for safety-related wireless signal transmission, in particular for transmission a safety-related control signal in a medical Diagnostic or therapy facility. The invention further relates to a device for carrying out of the said method.

Als Signal wird allgemein eine mit elektrischen, elektronischen oder elektromagnetischen Mitteln übertragene Information, insbesondere ein von einem Befehlsgeber an eine Anlagensteuerung abgegebener Steuerbefehl, bezeichnet. Als sicherheitsrelevant wird ein solches Signal dann bezeichnet, wenn aus Sicherheitsgründen gewährleistet sein muss, dass eine fehlerhafte Übertragung des Signals ausgeschlossen ist oder zumindest erkannt wird. Ein Signal ist insbesondere dann als sicherheitsrelevant anzusehen, wenn aus einer fehlerhaften Signalübertragung das Risiko einer Beschädigung von Gegenständen oder einer Verletzung von Personen erwachsen würde.When Signal is generally one with electrical, electronic or transmitted electromagnetic means Information, in particular one from a command generator to a plant control issued control command called. As security relevant such a signal is then designated if warranted for safety reasons must be that a faulty transmission of the signal is excluded is or at least recognized. A signal is especially then to be regarded as safety relevant, if from a faulty signal transmission the risk of damage of objects or injury to persons.

Bei einer medizinischen Diagnostik- oder Therapieanlage, z.B. einer Röntgenanlage, sind in der Regel eine Anzahl von sicherheitsrelevanten Signalen zu übertragen. Beispielsweise stellen die Ansteuerung des Röntgenstrahlers der Anlage sowie die Ansteuerung der Motorik eines der Anlage zugeordneten Patiententischs solche sicherheitsgerichteten Signale dar. Insbesondere muss, um ein Verletzungsrisiko für den behandelten Patienten und das Bedienpersonal ausschließen zu können, sichergestellt sein, dass der Röntgenstrahler bzw. die Motorik des Patiententischs entsprechend den von dem Bedienpersonal ausgelösten Steuerbefehlen angesteuert wird und dass bei Versagen der Signalübermittlung der Röntgenstrahler bzw. die Motorik unverzüglich in einen sicheren Zustand versetzt werden.at a medical diagnostic or therapeutic facility, e.g. one X-ray equipment, are usually a number of safety-related signals transferred to. For example, the control of the X-ray source of the system and the Control of the motor system of a patient table associated with the system such safety-related signals a risk of injury for to be able to exclude the treated patients and the operating personnel ensured be that the x-ray or the motor system of the patient table according to those of the operating personnel triggered Control commands is controlled and that in case of failure of signal transmission the X-ray source or the motor skills immediately be put into a safe state.

Bisher wird ein sicherheitsrelevantes Signal zumeist kabelgebunden übertragen. Zur Erhöhung der Sicherheit ist dabei üblich, das Signal redundant, d.h. parallel über mehrere unabhängige Signalkanäle zu übertragen. Hierbei werden mitunter auch gemischte Übertragungsstrukturen eingesetzt, bei welchen ein in einem Signalkanal übertragenes Teilsignal in Form eines Software-Telegramms übertragen wird, während ein weiterer Signalkanal als einfache physikalische Kabelverbindung ausgebildet ist. Über den ersten Signalkanal wird beispielsweise eine konkrete Funktionsauswahl (z.B. Patiententisch heben) übertragen, während über den zweiten Signalkanal eine generelle Freigabe der Gerätemotorik (z.B. Freigabe der Motorspannung) bewirkt wird.So far a safety-related signal is usually transmitted by cable. To increase the Safety is common the signal is redundant, i. to transmit in parallel over several independent signal channels. Sometimes mixed transmission structures are used, in which a transmitted in a signal channel sub-signal in the form a software telegram is transmitted, while another signal channel as a simple physical cable connection is trained. On the first signal channel, for example, a specific function selection (e.g., lift patient table), while over the second signal channel a general release of the device engine (e.g., release of the motor voltage).

Um bei drahtloser Signalübermittlung vergleichbare Sicherheitsanforderungen einhalten zu können, ist auch hier die Übermittlungsstruktur herkömmlicherweise redundant, z.B. durch zwei unabhängige Infrarot-Übertragungsstrecken ausgeführt. Drahtlose Signalübertragungsvorrichtungen, die zur Übertragung sicherheitsrelevanter Signale geeignet ist, sind insbesondere aus diesem Grund üblicherweise vergleichsweise aufwändig strukturiert.Around with wireless signal transmission to meet comparable safety requirements, is here too the transmission structure conventionally redundant, e.g. by two independent Infrared transmission links executed. wireless Signal transmission devices those for transfer safety-relevant signals is suitable, in particular this reason usually comparatively expensive structured.

Der Erfindung liegt die Aufgabe zugrunde, ein einfach zu realisierendes Verfahren anzugeben, das eine möglichst sichere Signalübertragung ermöglicht. Der Erfindung liegt weiterhin die Aufgabe zugrunde, eine zur Durchführung des Verfahrens besonders geeignete Vorrichtung anzugeben.Of the Invention is based on the object, an easy to implement Specify a method that is as possible secure signal transmission allows. The invention is further based on the object, one for carrying out the Specify method particularly suitable device.

Bezüglich des Verfahrens wird die Aufgabe erfindungsgemäß gelöst durch die Merkmale des Anspruchs 1. Bezüglich der zugehörigen Vorrichtung wird die Aufgabe erfindungsgemäß gelöst durch die Merkmale des Anspruchs 6.Regarding the Method, the object is achieved by the features of the claim 1. Regarding the associated Device, the object is achieved by the features of the claim 6th

Erfindungsgemäß ist vorgesehen, ein Eingangssignal zu duplizieren und jeweils eine durch diese Duplikation erzeugte Ko pie des Eingangssignals in einen uriabhängigen Softwarepfad einer Quelleneinheit einzulesen. Innerhalb der Quelleneinheit wird jede Kopie des Eingangssignals separat auf dem zugeordneten Softwarepfad einem gemeinsamen Sendermodul zugeführt, welches alle Kopien gemeinsam über eine drahtlose Übertragungsstrecke an ein Empfängermodul einer Senkeneinheit überträgt. Innerhalb der Senkeneinheit wird jede empfangene Kopie wiederum auf einem unabhängigen Softwarepfad einem Vergleichermodul zugeführt, welches die Kopien auf ihre gegenseitige Konsistenz überprüft und im Konsistenzfall ein dem Inhalt der Kopien entsprechendes Ausgangssignal ausgibt.According to the invention, it is provided to duplicate an input signal and one each through this duplication generated Ko pie of the input signal in a uriabhängigen software path a source unit. Within the source unit is each copy of the input signal separately on the associated software path a common transmitter module supplied, which all copies together via a wireless transmission link to a receiver module a sink unit transmits. Within The sink unit will turn each copy received on one independent Software path supplied to a comparator module, which copies the checked their mutual consistency and in the Consistency case an output signal corresponding to the content of the copies outputs.

Als konsistent miteinander werden verschiedene Kopien dann erkannt, wenn sie demselben Signal entsprechen, d.h. dieselbe Information enthalten.When consistent with each other then different copies are detected if they correspond to the same signal, i. the same information contain.

Als Softwarepfad wird ein Softwaremodul oder eine Anzahl von in Abhängigkeit zueinander stehenden Softwaremodulen bezeichnet, im Ablauf dessen bzw. derer ein Signal logisch weitergeleitet wird, wobei gegebenenfalls die äußere Form des Signals in einem oder mehreren der Softwaremodule bearbeitet wird. Als unabhängig voneinander werden zwei Softwarepfade dann bezeichnet, wenn kein Modul des einen Softwarepfades in Datenaustausch mit einem Modul des anderen Softwarepfades steht. Durch die Unabhängigkeit der in der Quelleneinheit bzw. in der Senkeneinheit implementierten parallelen Softwarepfade wird insbesondere ausgeschlossen, dass ein bei der Abarbeitung eines Softwarepfades auftretender Fehler sich auf die Signalübertragung in einem parallelen Softwarepfad auswirkt.The software path is a software module or a number of mutually dependent software modules, in the course of which or a signal is logically forwarded, where appropriate, the external form of the signal is processed in one or more of the software modules. As independent from each other, two software paths are designated when no module of the one software path is in communication with a module of the other software path. Due to the independence of the parallel software paths implemented in the source unit or in the sink unit, it is particularly precluded that a software path is processed during execution an error that affects the signal transmission in a parallel software path.

Infolge der Duplikation des Eingangssignals in mehrere Kopien, der Führung dieser Kopien auf unabhängigen Softwarepfaden und des abschließenden Vergleichs der übermittelten Kopien ist eine vollständig redundante Signalübermittlung gewährleistet, wodurch etwaige Übermittlungsfehler mit hoher Sicherheit erkannt werden. Insbesondere ist hierdurch die erfindungsgemäß eingleisige Ausführung der eigentlichen draht losen Übertragungsstrecke ohne Sicherheitsverlust realisierbar, was wiederum einen vergleichsweise einfachen Hardwareaufbau der Vorrichtung erlaubt. Das Verfahren und die zugehörige Vorrichtung sind somit bei hoher Sicherheit und geringem Ausfallrisiko einfach, und hierdurch insbesondere preisgünstig zu realisieren.As a result the duplication of the input signal into multiple copies, the leadership of this Copies on independent Software paths and the final one Comparison of the transmitted Copies is one complete redundant signal transmission guaranteed whereby any transmission errors be detected with high security. In particular, this is the invention single-rail Execution of the actual wire loose transmission link without Security loss feasible, which in turn comparatively simple hardware construction of the device allowed. The procedure and the associated Device are thus at high security and low risk of failure easy, and thus in particular to realize low cost.

In einer bevorzugten Ausführungsform ist vorgesehen, dass in jedem Softwarepfad der Quelleneinheit die auf diesem Pfad geführte Kopie des Eingangssignals durch Erzeugung einer der Kopie zugehörigen Prüfinformation gesichert wird, und dass in jedem Softwarepfad der Senkeneinheit die Kopie anhand der quellenseitig erzeugten Prüfinformation auf Übertragungsfehler geprüft wird. Als Prüfinformation wird der Kopie insbesondere ein so genannter CRC (Cyclic Redundancy Code), insbesondere ein 32-bit CRC, zugeordnet. Durch die quellenseitige Erzeugung der Prüfinformation und deren senkenseitige Überprüfung wird insbesondere der Vorteil erzielt, dass an die eigentliche drahtlose Signalübertragung, d.h. insbesondere an das eingesetzte Sender- bzw. Empfängermodul, keine Sicherheitsanforderungen gestellt werden müssen. Es können daher drahtlose Übermittlungssysteme beliebiger Technologie und beliebiger Hersteller verwendet werden, ohne die Sicherheit der Signalübertragung insgesamt zu beeinträchtigen.In a preferred embodiment it is envisaged that in each software path of the source unit the guided on this path Copy of the input signal by generating a test information associated with the copy and that in each software path the sink unit the copy based on the source-generated test information for transmission errors checked becomes. As test information In particular, a so-called CRC (Cyclic Redundancy Code), in particular a 32-bit CRC. By the source side Generation of the check information and their sink-side review will be In particular, the advantage that achieves the actual wireless Signal transmission, i.e. in particular to the transmitter or receiver module used, no safety requirements have to be made. It can therefore wireless transmission systems any technology and any manufacturer can be used without the security of the signal transmission in general.

Der Quelleneinheit ist das Eingangssignal zweckmäßigerweise durch eine Signalleitung, d.h. eine Kabelverbindung zugeführt. Die Signalleitung ist hierbei insbesondere mehrfach ausgeführt, umfasst also bevorzugt mehrere Signalkanäle, über welche jeweils ein Teilsignal des Eingangssignals zuführbar ist. Jedes Teilssignal entspricht hierbei insbesondere einem binären Schaltzustand.Of the Source unit, the input signal is expediently by a signal line, i.e. a cable connection supplied. The signal line is in this case designed in particular several times, ie includes prefers several signal channels, over each of which a partial signal of the input signal can be fed. Every partial signal In this case corresponds in particular to a binary switching state.

Die Duplikation des Eingangssignals erfolgt dabei vorteilhafterweise hardwareseitig, indem jeder Signalkanal der Signalleitung mit jeweils einem Port eines jeden Softwarepfades der Quelleneinheit verbunden ist. Als Port ist hierbei allge mein eine binäre Ein- und/oder Ausgabeschnittstelle eines Hostcontrollers der Quellen- bzw. Senkeneinheit bezeichnet, über welche ein in dem entsprechenden Hostcontroller implementierter Softwarepfad einen Signalwert einliest bzw. ausgibt. Bevorzugt ist jedem quellen- oder senkenseitig implementierten Softwarepfad eine entsprechende Anzahl solcher Ports zugeordnet.The Duplication of the input signal is advantageously carried out hardware side by adding each signal channel to the signal line respectively connected to a port of each software path of the source unit is. As a port, this is generally a binary input and / or output interface of a host controller of the source sink unit over which a software path implemented in the corresponding host controller reads in or outputs a signal value. Preference is given to each source or Lower side implemented software path a corresponding number assigned to such ports.

Umfasst das Eingangssignal mehrere Teilsignale, so sind diese Teilsignale zweckmäßigerweise in unterschiedlicher Reihenfolge auf Ports eines ersten Softwarepfades und entsprechende Ports eines parallelen zweiten Softwarepfades gelegt. Unterschiedliche Kopien des Eingangssignals erhalten die Teilsignale des Eingangssignals folglich – gemessen an einer vorgegebenen Portreihenfolge – in unterschiedlich permutierter Form. Durch diese permutierende Duplikation des Eingangssignals in die verschiedenen parallelen Softwarepfade wird die Erkennung einer softwarebedingten Fehlübertragung erleichtert, zumal ein etwaiger auf alle Softwarepfade gleich wirkender Softwarefehler die einander entsprechenden Teilsignale der permutierten Kopien mit hoher Wahrscheinlichkeit in unterschiedlicher Weise verfälschen würde.includes the input signal a plurality of sub-signals, these are these sub-signals expediently in different order on ports of a first software path and corresponding ports of a parallel second software path placed. Different copies of the input signal receive the sub-signals of the input signal consequently - measured a given port order - in differently permuted Shape. Through this permutant duplication of the input signal in the different parallel software paths is the detection a software-related faulty transmission makes it easier, especially since any one has the same effect on all software paths Software error the corresponding sub-signals of the permuted Would copy with high probability in different ways would falsify.

Als weiterer Schutz gegen versteckte Softwarefehler ist vorteilhafterweise vorgesehen, dass verschiedene parallele Softwarepfade der Quelleneinheit bzw. Senkeneinheit jeweils zueinander diversitär aufgeführt sind, d.h. auf unterschiedlicher Software beruhen. Dies bedeutet insbesondere, dass zwei einander hinsichtlich ihrer Funktion entsprechende Softwaremodule verschiedener Softwarepfade unterschiedlich ausgeführt sind.When Further protection against hidden software errors is advantageous provided that different parallel software paths of the source unit or sink unit are respectively diversified to each other, i. on different Software based. This means in particular that two each other in terms of their function corresponding software modules different Software paths are executed differently.

Zusätzliche Sicherheit gegenüber Softwarefehlern wird bevorzugt weiterhin dadurch erzielt, dass das Vergleichermodul als Hardwarevergleicher ausgebildet ist, d.h. auf einer nicht programmierbaren elektronischen Schaltung beruht.additional Security over Software errors is preferably further achieved by the Comparator module is designed as a hardware comparator, i. on a non-programmable electronic circuit is based.

Vorteilhafterweise ist das Vergleichermodul derart ausgebildet, dass es im Inkonsistenzfall, d.h. wenn zwei korrespondierende Kopien als nicht konsistent zueinander erkannt werden, ein Ausgangssignal ausgibt, das einen sicheren Zustand der angesteuerten Anlage herbeiführt.advantageously, If the comparator module is designed such that, in the case of inconsistency, i.e. if two corresponding copies are not consistent with each other be detected, an output signal that outputs a safe state the controlled system causes.

Um das Risiko eines Übertragungsfehlers im Bereich der drahtlosen Übertragungsstrecke zu minimieren, ist zweckmäßigerweise vorgesehen, die innerhalb der Quelleneinheit aus den verschiedenen Softwarepfaden zugeführten Kopien zur gemeinsamen Übertragung an die Senkeneinheit in einer als Übertragungsrahmen bezeichneten Datenstruktur einer vorgegebenen Form zusammenzufassen, wobei dieser Übertragungsrahmen gegebenenfalls auch die optional erzeugten Prüfinformationen enthält. Zusätzlich oder alternativ zur Sicherung der einzelnen Kopien ist hierbei bevorzugt auch die Sicherung des gesamten Übertragungsrahmens durch quellenseitige Erzeugung einer zugehörigen Prüfinformation und deren senkenseitige Überprüfung vorgesehen.Around the risk of a transmission error in the area of the wireless transmission link to minimize is expediently provided within the source unit from the various software paths supplied Copies for joint transmission to the sink unit in a transmission frame Data structure of a given form, this transmission frame optionally also contains the optionally generated test information. Additionally or Alternatively, to secure the individual copies is preferred here also the backup of the entire transmission frame provided by source-side generation of an associated check information and its sink-side check.

In vorteilhafter konstruktiver Ausgestaltung der Hardwarekomponenten der Vorrichtung umfassen sowohl die Quelleneinheit als auch die Senkeneinheit jeweils ein Controller Board mit einem Hostcontroller, auf welchem die der entsprechenden Einheit zugeordnete Software implementiert ist, sowie mit dem Sendermodul bzw. Empfängermodul. Vorzugsweise kommt hierbei ein als kombiniertes Sende-/Empfangsbauteil ausgebildetes Funkmodul einerseits als Sendermodul der Quelleneinheit und andererseits als Empfängermodul der Senkeneinheit zum Einsatz. Dies ermöglicht insbesondere, ein hinsichtlich der verwendeten Hardware identisches Controller Board sowohl für die Quelleneinheit als auch die Senkeneinheit einzusetzen, wodurch der mit der Herstellung der Vorrichtung verbundene Fertigungsaufwand erheblich reduziert wird. Die unterschiedliche Spezifizierung des Controller Boards als Bestandteil der Quelleneinheit bzw. Senkeneinheit geschieht hierbei lediglich durch unterschiedliche Softwarekonfiguration sowie durch unterschiedliche Anschaltung des Controller Boards.In advantageous structural design of the hardware components The device comprises both the source unit and the Sink unit one controller board each with a host controller, on which the software assigned to the corresponding unit is implemented, as well as with the transmitter module or receiver module. Preferably, this comes as a combined transmitting / receiving component trained radio module on the one hand as a transmitter module of the source unit and, on the other hand, as a receiver module the sink unit used. This allows in particular, a respect the hardware used identical controller board for both the source unit as well as the sink unit, whereby the with the production the device associated production costs significantly reduced becomes. The different specification of the controller board as part of the source unit or sink unit here only by different software configuration as well by different connection of the controller board.

In einer preisgünstig realisierbaren und zweckmäßigen Ausführung wird als Funkmodul quellen- und senkenseitig je ein mit dem Bluetooth-Standard kompatibles Funkmodul eingesetzt.In a reasonably priced one feasible and expedient execution as a radio module source and sink side each one with the Bluetooth standard compatible radio module used.

Zur Kontrolle der Hardwarefunktion des Hostcontrollers ist diesem zweckmäßigerweise ein Überwachungsmodul (ein so genannter Watch-Dog) zugeordnet. Diesem Überwachungsmodul wird in periodischen Zeitabständen durch den Hostcontroller ein Triggersignal zugeführt. Bleibt das Triggersignal aus, oder wird das Triggersignal nicht in dem vorgegebenen Zeitabstand abgegeben, so erkennt das Überwachungsmodul eine Fehlfunktion des Hostcontrollers und setzt diesen durch einen Reset-Befehl in einen definierten Ausgangszustand zurück. Das Überwachungsmodul ist bevorzugt sowohl quellenseitig als auch senkenseitig vorgesehen, insbesondere auf dem jeweiligen Controller Board der Senkeneinheit und Quelleneinheit integriert.to Control of the hardware function of the host controller is this expediently a monitoring module (a so-called watch-dog) assigned. This monitoring module is in periodic intervals supplied by the host controller, a trigger signal. If the trigger signal remains off, or the trigger signal does not become in the predetermined time interval delivered, then recognizes the monitoring module a malfunction of the host controller and sets this by a Reset command back to a defined initial state. The monitoring module is preferably provided on both the source side and the lower side, especially on the respective controller board of the sink unit and source unit integrated.

Zusätzlich oder alternativ ist der Senkeneinheit ein weiteres Überwachungsmodul zugeordnet, dem ebenfalls durch den Hostcontroller der Senkeneinheit ein periodisches Triggersignal zugeführt wird. Dieses Überwachungsmodul wirkt direkt auf das Vergleichermodul und veranlasst dieses, bei einer erkannten Fehlfunktion des Hostcontrollers durch Ausgabe eines entsprechenden Ausgabesignals einen sicheren Zustand der angesteuerten Anlage herbeizuführen.Additionally or Alternatively, the sink unit is assigned a further monitoring module, the also by the host controller of the sink unit a periodic Trigger signal supplied becomes. This monitoring module acts directly on the comparator module and induces this at a detected malfunction of the host controller by issuing a corresponding output signal a safe state of the driven Plant cause.

Weitere vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus einem nachfolgend anhand einer Zeichnung beschriebenen Ausführungsbeispiel der Erfindung. Darin zeigen:Further advantageous embodiments of the invention will become apparent from a Below described with reference to a drawing embodiment of the Invention. Show:

1 in einem schematischen Blockschaltbild eine technische, insbesondere medizintechnische Anlage mit einer einem Befehlsgeber und einer Anlagensteuerung zwischengeschalteten Vorrichtung zur drahtlosen Ü bertragung eines sicherheitsrelevanten Steuersignals, 1 in a schematic block diagram of a technical, in particular medical technology system with a commander and a system controller interposed device for wireless transmission of a safety-relevant control signal,

2 in einem schematischen Blockschaltbild die eine Quelleneinheit und eine mit dieser über drahtlose Übertragungsstrecke verbundene Senkeneinheit umfassende Vorrichtung gemäß 1, 2 in a schematic block diagram of a source unit and a device connected thereto via wireless transmission link sink unit according to 1 .

3 in einem schematischen Flussdiagramm eine Softwarekonfiguration der Quelleneinheit gemäß 2, 3 in a schematic flowchart according to a software configuration of the source unit according to 2 .

4 in einem Datenstrukturschema den Aufbau eines zur Informationsübertragung von der Quelleneinheit auf die Senkeneinheit herangezogenen Übertragungsrahmens und 4 in a data structure diagram, the structure of a transmission frame used for transmitting information from the source unit to the sink unit; and

5 in einem schematischen Flussdiagramm eine Softwarekonfiguration der Senkeneinheit gemäß 2. 5 in a schematic flowchart according to a software configuration of the sink unit 2 ,

Einander entsprechende Teile und Größen sind in allen Figuren stets mit den gleichen Bezugszeichen versehen.each other corresponding parts and sizes are always provided with the same reference numerals in all figures.

1 zeigt in grober Schematisierung eine technische, insbesondere medizintechnische Anlage 1. Bei der Anlage 1 handelt es sich beispielsweise um eine medizinische Röntgenanlage. Die Anlage 1 umfasst ein anzusteuerndes Anlagenteil 2, bei dem es sich beispielsweise um einen motorischen Antrieb zur Verstellung eines (nicht näher dargestellten) Patiententischs handelt. 1 shows a rough schematization of a technical, especially medical technical system 1 , At the plant 1 For example, it is a medical X-ray system. The attachment 1 includes a plant part to be controlled 2 , which is, for example, a motor drive for adjusting a patient table (not shown).

Zur Ansteuerung des Anlagenteils 2 umfasst die Anlage 1 einen als Tastschalter ausgebildeten Befehlsgeber 3, durch dessen Betätigung ein Benutzer ein sicherheitsrelevantes Steuersignal S auslöst. Das Steuersignal S umfasst zwei seitens des Befehlsgebers 3 parallel und redundant als elektrische Schaltzustände ausgegebene Teilsignale S1 und S2. Das Teilsignal S1 stellt eine Funktionsauswahl, z.B. den Steuerbefehl "Tisch heben" dar und wird einem Steuerrechner 4 einer Anlagensteuerung 5 zugeführt. Der Steuerrechner 4 gibt nach entsprechender Auswertung das Teilsignal S1 in Form eines Softwaretelegramms an einen Funktionsgenerator 6 der Anlagensteu erung 5 aus, der hierauf wiederum eine entsprechende Versorgungsspannung V zum Antrieb des Anlagenteils 2 erzeugt.For controlling the system part 2 includes the facility 1 designed as a key switch commander 3 , by the actuation of which a user triggers a safety-relevant control signal S. The control signal S comprises two part of the commander 3 parallel and redundant as electrical switching states output partial signals S1 and S2. The sub-signal S1 represents a function selection, eg the control command "raise table" and is a control computer 4 a plant control 5 fed. The control computer 4 After appropriate evaluation, the partial signal S1 in the form of a software telegram is sent to a function generator 6 the plant control 5 from this, in turn, a corresponding supply voltage V for driving the plant part 2 generated.

Aus Sicherheitsgründen ist dem Anlagenteil 2 und dem Funktionsgenerator 6 ein Sicherheitsschalter 7 zwischengeschaltet, dem über eine Freigabeleitung 8 das zweite Teilsignal S2 in Form eines Schaltzustands zugeführt ist. Das Teilsignal S2 wirkt als Freigabesignal, indem es in aktiviertem Zustand eine Freigabe der Versorgungsspannung V durch den Sicherheitsschalter 7 auslöst, wohingegen der Sicherheitsschalter 7 das Anlagenteil 2 zwangsweise abschaltet, wenn das Teilsignal S2 deaktiviert ist. Die Freigabeleitung 8 ist als physikalische Kabelverbindung an der Anlagensteuerung 5 vorbeigeführt, um die durch das Teilsignal S2 bewirkte Sicherheitsabschaltung unabhängig von der ordnungsgemäßen Funktion der Anlagensteuerung 5 zu gewährleisten. Die ordnungsgemäße Funktion der Freigabeleitung 8 wird wiederum über eine Supervisionsverbindung 9 von dem Steuerrechner 4 überwacht.For safety reasons, the plant part 2 and the function generator 6 a safety switch 7 interposed, the over a free reproducing circuit 8th the second part signal S2 is supplied in the form of a switching state. The sub-signal S2 acts as an enable signal by activating a release of the supply voltage V by the safety switch 7 triggers, whereas the safety switch 7 the plant part 2 forcibly shuts off when the sub-signal S2 is deactivated. The release line 8th is as physical cable connection to the plant control 5 passed to the safety shutdown caused by the sub-signal S2, regardless of the proper function of the plant control 5 to ensure. Proper functioning of the release line 8th in turn will have a supervision connection 9 from the control computer 4 supervised.

Als zusätzliche Sicherungsfunktion ist der Anlage 1 weiterhin ein Not-Ausschalter 10 zugeordnet, der über eine Schaltleitung 11 direkt auf den Sicherheitsschalter 7 wirkt, indem er diesen bei Betätigung sperrt und somit durch Zwangsabschaltung des Anlagenteils 2 die Anlage 1 in einen sicheren Zustand versetzt.As additional security function is the plant 1 still an emergency off switch 10 assigned, via a switching line 11 directly on the safety switch 7 acts by locking it on actuation and thus by forced shutdown of the system part 2 the attachment 1 put in a safe state.

Der Befehlsgeber 3 ist Teil eines mobilen Steuergeräts 12, insbesondere einer tragbaren Fernbedienung und ist insofern mit der Anlagensteuerung 5 lediglich über eine drahtlose Übertragungsstrecke 13 verbunden. Zur Übertragung des Steuersignals S über diese drahtlose Übertragungsstrecke 13 umfasst die Anlage 1 eine Vorrichtung 15. Die Vorrichtung 15 ist gebildet aus einer dem Steuergerät 12 zugeordneten Quelleneinheit 16 sowie aus einer fest mit der Anlagensteuerung 5 verbundenen Senkeneinheit 17. Das zu übertragende Signal S wird der Quelleneinheit 16 von dem Befehlsgeber 3 über eine Signalleitung 18 als Eingangssignal S_E zugeführt. Die Signallei tung 18 umfasst zwei Signalkanäle 19 und 20, deren jeder jeweils eines der Teilsignale S1 bzw. S2 führt. Zwischen der Quelleneinheit 16 und der Senkeneinheit 17 ist hierbei die drahtlose Übertragungsstrecke 13 aufgespannt. Das der Anlagensteuerung 5 bzw. dem Sicherheitsschalter 7 von der Senkeneinheit 17 zugeführte Steuersignal S ist nachfolgend auch als Ausgangssignal S_A bezeichnet.The commander 3 is part of a mobile controller 12 , in particular a portable remote control and is so far with the plant control 5 only via a wireless transmission link 13 connected. For transmission of the control signal S via this wireless transmission path 13 includes the facility 1 a device 15 , The device 15 is formed from a the control unit 12 associated source unit 16 as well as from a fixed with the plant control 5 connected sink unit 17 , The signal S to be transmitted becomes the source unit 16 from the commander 3 via a signal line 18 supplied as input signal S _E. The signal line 18 includes two signal channels 19 and 20 each of which carries one of the sub-signals S1 and S2, respectively. Between the source unit 16 and the sink unit 17 Here is the wireless transmission link 13 clamped. The system control 5 or the safety switch 7 from the sink unit 17 supplied control signal S is hereinafter also referred to as an output signal S _A.

Wie insbesondere aus 2 hervorgeht, umfassen sowohl die Quelleneinheit 16 als auch die Senkeneinheit 17 je ein Controller Board 23, auf welchem jeweils ein Hostcontroller 24 und ein in Bluetooth-Technologie arbeitendes Funkmodul 25 aufgebaut sind. Das Controller Board 23 enthält zudem ein Überwachungsmodul 26, d.h, einen so genannten Watch-Dog, zur Überwachung des Hostcontrollers 24.As in particular from 2 indicates that both the source unit 16 as well as the sink unit 17 one controller board each 23 , on each of which a host controller 24 and a wireless module operating in Bluetooth technology 25 are constructed. The controller board 23 also contains a monitoring module 26 ie, a so-called watchdog, for monitoring the host controller 24 ,

Das der Quelleneinheit 16 zugeordnete Controller Board 23 und das der Senkeneinheit 17 zugeordnete Controller Board 23 sind unter dem Gesichtspunkt der verwendete Hardware identisch aufgebaut. Insbesondere ist das Funkmodul 25 ein kombiniertes Sende-/Empfangsbauteil und wird einerseits quellenseitig als Sendermodul und andererseits senkenseitig als Empfängermodul eingesetzt. Die quellen- bzw. senkenseitige Spezifizierung erhält das jeweilige Controller Board 23 durch unterschiedliche, nachfolgend näher beschriebene Softwarekonfiguration sowie durch eine unterschiedliche Anschaltung, die jeweils über ein quellen- bzw. senkenspezifisches Basis Board 27 erfolgt, auf welchem das jeweilige Controller Board 23 aufgebaut ist.That of the source unit 16 assigned controller board 23 and the sink unit 17 assigned controller board 23 are identically constructed from the standpoint of the hardware used. In particular, the radio module 25 a combined transmitting / receiving component and is used on the one hand source side as a transmitter module and on the other hand, the sink side as a receiver module. The source or sink side specification is given to the respective controller board 23 by different software configuration described in more detail below and by a different connection, each via a source-specific or base-specific base board 27 takes place on which the respective controller board 23 is constructed.

Um etwaige Übertragungsfehler des Steuersignals S sicher erkennen zu können, wird das Steuersignal S auf zwei unabhängigen, d.h. logisch getrennten Wegen entlang des durch die Vorrichtung 15 etablierten Übertragungsweges geführt. Hierzu wird das Eingangssignal S_E zunächst dupliziert und in Form zweier Kopien S_K1,S_K2 in den quellenseitigen Hostcontroller 24 eingelesen. Zur logisch separaten Bearbeitung und Weiterleitung der jeweiligen Kopie S_K1 bzw. S_K2 sind in dem Hostcont roller 24 zwei unabhängige Softwarepfade 29 und 30 implementiert, die in dem Schema gemäß 2 als abgegrenzte Flächen des Hostcontrollers 24 angedeutet sind. Jedem Softwarepfad 29 bzw. 30 sind eine Anzahl von Ports 31a, 31b bzw. 32a, 32b des Hostcontrollers 24 zugewiesen, über welche je ein binärer Signalwert in den jeweiligen Softwarepfad 29 bzw. 30 eingelesen werden kann.In order to be able to reliably detect any transmission errors of the control signal S, the control signal S is transmitted in two independent, ie logically separated, paths along the path through the device 15 established transmission path. For this purpose, the input signal S _{E is} first duplicated and in the form of two copies S _K1 , S _K2 in the source-side host controller 24 read. For logically separate processing and forwarding of the respective copy S _K1 or S _K2 are in the Hostcont roller 24 two independent software paths 29 and 30 implemented in the scheme according to 2 as delimited areas of the host controller 24 are indicated. Every software path 29 respectively. 30 are a number of ports 31a . 31b respectively. 32a . 32b of the host controller 24 assigned via which a binary signal value in the respective software path 29 respectively. 30 can be read.

Die Duplikation des Eingangssignals S_E erfolgt, indem sowohl der das Teilsignal S1 führende erste Signalkanal 19 als auch der das zweite Teilsignal S2 führende zweite Signalkanal 20 der Signalleitung 18 mit jeweils einem Port 31a, 31b des ersten Softwarepfades 29 und einem weiteren Port 32a, 32b des zweiten Softwarepfades 30 verbunden sind. Diese hardwareseitige Duplikation des Eingangssignals S_E hat den Vorteil einer vergleichsweise hohen Fehlersicherheit, zumal auf diese Weise eine softwarebedingt fehlerhafte Signalduplikation grundsätzlich ausgeschlossen ist.The duplication of the input signal S _E is carried out by both the first signal channel carrying the sub-signal S1 19 as well as the second signal part S2 leading second signal channel 20 the signal line 18 with one port each 31a . 31b the first software path 29 and another port 32a . 32b the second software path 30 are connected. This duplication of the input signal S _E on the hardware side has the advantage of a comparatively high level of error safety, since in this way a software-defective signal duplication is fundamentally excluded.

Wie aus 2 zu erkennen ist, werden die Teilsignale S1 und S2 gegensinnig in die Softwarepfade 29 bzw. 30 eingespeist. Konkret ist der erste Port 31a des Softwarepfades 29 mit dem Teilsignal S1 und der zweite Port 31b mit dem Teilsignal S2 belegt, während die entsprechenden Ports 32a bzw. 32b des Softwarepfades 30 entgegengesetzt mit den Teilsignalen S2 bzw. S1 belegt sind. Hierdurch wird erreicht, dass die beiden Kopien S_K1 und S_K2 des Eingangssignals S_E in unterschiedlicher Bit-Reihenfolge auf den Softwarepfaden 29 und 30 geführt sind, wodurch zusätzliche Sicherheit in Hinblick auf softwarebedingte Übermittlungsfehler erzielt wird.How out 2 can be seen, the sub-signals S1 and S2 in opposite directions in the software paths 29 respectively. 30 fed. Specifically, the first port 31a the software path 29 with the sub-signal S1 and the second port 31b occupied with the sub-signal S2, while the corresponding ports 32a respectively. 32b the software path 30 opposite to the sub-signals S2 and S1 are occupied. This ensures that the two copies S _K1 and S _{K2 of} the input signal S _E in different bit order on the software paths 29 and 30 which provides additional security in terms of software-related transmission errors.

Innerhalb eines jeden Softwarepfades 29 und 30 wird die zugeordnete Kopie S_K1 bzw. S_K2 auf nachfolgend näher beschriebene Weise gegen Übertragungsfehler gesichert. Beide Kopien S_K1, S_K2 werden anschließend über ein Modul 35, durch welches die Kopien S_K1 und S_K2 in einem gemeinsamen Übertragungsrahmen R "verpackt" werden, dem quellenseitigen Funkmodul 25 zugelei tet und von diesem über die drahtlose Übertragungsstrecke 13 gemeinsam an das Funkmodul 25 der Senkeneinheit 17 übermittelt.Within each software path 29 and 30 is the associated copy S _K1 or S _K2 on Secured in the manner described in more detail below against transmission errors. Both copies S _K1 , S _K2 are then via a module 35 by which the copies S _K1 and S _{K2 are} "packaged" in a common transmission frame R, the source side radio module 25 zugelei tet and of this via the wireless transmission link 13 together to the radio module 25 the sink unit 17 transmitted.

Das senkenseitige Funkmodul 25 leitet die übertragenen Kopien S_K1, S_K2 dem senkenseitigen Hostcontroller 24 zu. Dort werden die übertragenen Kopien S_K1, S_K2 in einem Modul 36 wiederum separiert und jeweils einem von zwei unabhängigen Softwarepfaden 37 bzw. 38 zugeführt. Dort wird jede Kopie S_K1 bzw. S_K2 in nachfolgend näher beschriebener Weise auf Übertragungsfehler geprüft und bei korrekter Übertragung über dem jeweiligen Softwarepfad 37 oder 38 zugeordnete Ports 39a, 39b bzw. 40a, 40b des senkenseitigen Hostcontrollers 24 einem nachgeschalteten Vergleichermodul 41 zugeführt.The sinkside radio module 25 routes the transmitted copies S _K1 , S _{K2 to} the sink-side host controller 24 to. There, the transmitted copies S _K1 , S _K2 in a module 36 separated again and each one of two independent software paths 37 respectively. 38 fed. There, each copy S _K1 or S _{K2 is} tested for transmission errors in the manner described in more detail below, and if correctly transmitted via the respective software path 37 or 38 assigned ports 39a . 39b respectively. 40a . 40b the sink-side host controller 24 a downstream comparator module 41 fed.

Ist innerhalb der Vorrichtung 15 kein Übermittlungsfehler aufgetreten, so müssen beide Kopien S_K1 und S_K2, abgesehen von der planmäßig vertauschten Reihenfolge der Teilsignale S1 und S2, identische Kopien des Eingangssignals S_E sein. Insbesondere muss dasselbe Teilsignal S1 bzw. S2 für beide Kopien S_K1 und S_K2 stets denselben Wert aufweisen. Diese Konsistenzbedingung wird in dem Vergleichermodul 41 überprüft. Das Vergleichermodul 41 ist hierbei als Hardwarevergleicher, d.h. als nicht-programmierbare elektronische Schaltung, ausgebildet, um wiederum eine softwarebedingte Fehlfunktion grundsätzlich auszuschließen. Werden die Kopien S_K1 und S_K2 als konsistent erkannt, so gibt das Vergleichermodul 41 ein dem (identischen) Inhalt der Kopien S_K1, S_K2 entsprechendes Ausgangssignal S_A an die Anlagensteuerung 5 ab. Im Inkonsistenzfall erzeugt das Vergleichermodul 41 ein Ausgangssignal S_A, das die Anlage 1 in den sicheren Zustand versetzt.Is inside the device 15 If no transmission error has occurred, both copies S _K1 and S _K2 must be identical copies of the input signal S _E except for the planned sequence of the sub-signals S1 and S2. In particular, the same sub-signal S1 or S2 must always have the same value for both copies S _K1 and S _K2 . This consistency condition is used in the comparator module 41 checked. The comparator module 41 is in this case designed as a hardware comparator, ie as a non-programmable electronic circuit, in order in turn to rule out a software-related malfunction in principle. If the copies S _K1 and S _{K2 are} recognized as consistent, then the comparator module gives 41 a (identical) content of the copies S _K1 , S _K2 corresponding output signal S _A to the plant control 5 from. In the case of inconsistency, the comparator module generates 41 an output signal S _A , which is the plant 1 put in the safe state.

Als zusätzliche Sicherheitsmaßnahme wird die ordnungsgemäße Funktion sowohl des quellenseitigen als auch des senkenseitigen Hostcontrollers 24 durch das jeweils zugeordnete Überwachungsmodul 26 fortlaufend überwacht. Hierzu wird dem Überwachungsmodul 26 durch den zugeordneten Hostcontroller 24 in vorgegebenen zeitlich periodischen Abständen ein Triggersignal T zugeführt. Bleibt dieses Triggersignal T aus oder erfolgt es nicht in dem vorgegebenen Takt, so aktiviert das Überwachungsmodul 26 einen Reset-Port 42 des jeweiligen Hostcontrollers und setzt hierdurch den Hostcontroller 24 in einen definierten Ausgangszustand zurück.As an added security measure, the proper functioning of both the source-side and sink-side host controllers 24 through the respectively assigned monitoring module 26 continuously monitored. For this purpose, the monitoring module 26 through the associated host controller 24 supplied at predetermined time intervals periodically a trigger signal T. If this trigger signal T remains off or does not occur in the predetermined cycle, the monitoring module activates 26 a reset port 42 of the respective host controller and thereby sets the host controller 24 back to a defined initial state.

Zum Schutz vor einem gefährlichen Hardwarefehler des Hostcontrollers 24 ist die Senkeneinheit 17 mit einem zweiten, externen Abschaltweg versehen. Dieser umfasst ein weiteres Überwachungsmodul 43, das ebenfalls von dem senkenseitigen Hostcontroller 24 mit einem Triggersignal T versorgt wird. Das Überwachungsmodul 43 wirkt, im Gegensatz zu dem vorstehend beschriebenen Überwachungsmodul 26, nicht auf den Hostcontroller 24 zurück, sondern direkt auf das Vergleichermodul 41. Im Fehlerfall führt das Überwachungsmodul 43 dem Vergleichermodul 41 ein Abschaltsignal A zu, das das Vergleichermodul 41 dazu veranlasst, durch Ausgabe eines entsprechenden Ausgabesignals S_A die Anlage 1 in den sicheren Zustand zu versetzen.To protect against a dangerous hardware failure of the host controller 24 is the sink unit 17 provided with a second, external Abschaltweg. This includes another monitoring module 43 also from the sink-side host controller 24 is supplied with a trigger signal T. The monitoring module 43 acts, in contrast to the monitoring module described above 26 , not on the host controller 24 back, but directly to the comparator module 41 , In case of error, the monitoring module leads 43 the comparator module 41 a shutdown signal A to, which is the comparator module 41 caused by issuing a corresponding output signal S _A the system 1 into the safe state.

Die ordnungsgemäße Funktion des Vergleichermoduls 41 wird weiterhin von dem der Senkeneinheit 17 zugeordneten Hostcontroller 24 fortlaufend oder in periodischen Abständen überwacht. Der Hostcontroller 24 ist hierzu über einen Supervisionsport 44 mit dem Vergleichermodul 41 verbunden. Der entsprechende Supervisionsport 44 des quellenseitigen Hostcontrollers 24 ist zur Überwachung der Energieversorgung der Quelleneinheit 16 herangezogen. Dies ist zweckmäßig, zumal die Quelleneinheit 16 bzw. das Steuergerät 12 über eine von der restlichen Anlage 2 unabhängige Stromversorgung 46, insbesondere eine Batterie oder einen Akku, verfügt. Stellt der Hostcontroller 24 einen kritischen Zustand dieser Stromversorgung 46 fest, so benachrichtigt er den Benutzer, z.B. durch Ansteuerung (nicht explizit dargestellter) optischer und/oder akustischer Anzeigeelemente des Steuergeräts 12. Optional ist vorgesehen, dass der Hostcontroller 24 in diesem Fall weiterhin eine unter diesen Umständen risikobehaftete Funktionsauslösung verweigert und/oder einen sicheren Zustand der Anlage 1 herbeiführt.Proper functioning of the comparator module 41 will continue from that of the sink unit 17 associated host controller 24 monitored continuously or at periodic intervals. The host controller 24 is for this purpose a supervision sport 44 with the comparator module 41 connected. The corresponding supervision sport 44 the source-side host controller 24 is for monitoring the power supply of the source unit 16 used. This is useful, especially since the source unit 16 or the control unit 12 over one of the remaining plant 2 independent power supply 46 , in particular a battery or a rechargeable battery. Represents the host controller 24 a critical condition of this power supply 46 fixed, it notifies the user, for example by controlling (not explicitly shown) optical and / or acoustic display elements of the control unit 12 , Optionally, it is provided that the host controller 24 In this case, a risk-triggered function trigger under these circumstances continues to be denied and / or a safe state of the system 1 causes.

Die Softwarekonfiguration des quellenseitigen Hostcontrollers 24 ist in 3 anhand eines vereinfachten Flussdiagramms näher erläutert. Die hier eingeführten Module 50–55, 63, 64 bezeichnen funktionale Bestandteile einer Software, die in vorgegebener zeitlicher Reihenfolge ausführbar sind, und somit auch Verfahrensschritte des durch die Software ausgeführten Verfahrens darstellen. Gleiches gilt für die in 5 eingeführten Module bzw. Routinen 70–89.The software configuration of the source-side host controller 24 is in 3 explained in more detail with reference to a simplified flowchart. The modules introduced here 50 - 55 . 63 . 64 Designate functional components of a software, which are executable in a predetermined time sequence, and thus also represent process steps of the executed by the software method. The same applies to the in 5 introduced modules or routines 70 - 89 ,

In 3 ist erkennbar, dass die parallelen Softwarepfade 29 und 30 jeweils zwei sequentiell aufeinander folgende Module 50 und 51 bzw. 52 und 53 umfassen. Durch das erste Modul 50 des Softwarepfades 29 werden die an den Ports 31a und 31b zum Abfragezeitpunkt anliegenden Signalwerte der Teilsignale S1 und S2 der Kopie S_K1 eingelesen. Die eingelesenen Signalwerte werden hierbei bitweise mit entsprechenden, zuletzt eingelesenen Signalwerten verglichen. Hierdurch wird insbesondere ermittelt, ob das an einem abgelesenen Port 31a, 31b anliegende Teilsignal S1, S2 einen unveränderten passiven ("0") oder aktiven ("1") Signalwert aufweist, oder ob zwischen dem aktuellen und dem vorausgehenden Einlesezeitpunkt ein Signalwechsel "0->1" bzw. "1->0" erfolgt ist. Anschließend wird durch das nachfolgende Modul 51 ein den eingelesenen Signalwerten der Kopie S_K1 entsprechender 32-bit CRC berechnet, der der Kopie S_K1 als zugehörige Prüfinformation I_K1 zugeordnet wird, um senkenseitig etwaige Übertragungsfehler erkennen zu können.In 3 it can be seen that the parallel software paths 29 and 30 in each case two sequentially successive modules 50 and 51 respectively. 52 and 53 include. Through the first module 50 the software path 29 become the at the ports 31a and 31b The signal values of the sub-signals S1 and S2 of the copy S _{K1 which are present} at the time of interrogation are read in. The read-in signal values are bitwise compared with corresponding, last read-in signal values. In particular, this determines whether this is the case of a read port 31a . 31b adjacent partial signal S1, S2 an unchanged pas siven ("0") or active ("1") signal value, or whether a signal change "0->1" or "1->0" has occurred between the current and the previous read-in time. Subsequently, by the following module 51 a 32-bit CRC corresponding to the read-in signal values of the copy S _K1 is calculated, which is assigned to the copy S _K1 as associated check information I _K1 , in order to be able to detect possible transmission errors on the lower side.

Das Modul 52 des parallelen Softwarepfades 30 entspricht hinsichtlich seiner Funktion dem Modul 50 und liest entsprechend die an den zugeordneten Ports 32a und 32b anliegenden Signalwerte der Teilsignale S2 bzw. S1 der Kopie S_K2 ein. Durch das funktional dem Modul 51 entsprechende Modul 53 wird der Kopie S_K2 ein zugehöriger CRC als Prüfinformation I_K2 zugeordnet.The module 52 the parallel software path 30 corresponds in terms of its function to the module 50 and reads accordingly at the assigned ports 32a and 32b applied signal values of the sub-signals S2 and S1 of the copy S _K2 . Through the functional module 51 appropriate module 53 An associated CRC is assigned to the copy S _K2 as check information I _K2 .

Wesentlich ist, dass die Softwarepfade 29 und 30 unabhängig sind, dass also zwischen den Modulen 50 und 51 einerseits und den Modulen 52 und 53 andererseits kein Datenaustausch stattfindet, so dass sich ein etwaiger Softwarefehler eines der Softwarepfade 29 und 30 nicht auf die Datenübermittlung und Datenbearbeitung in dem jeweils anderen Softwarepfad 29, 30 auswirken kann.It is essential that the software paths 29 and 30 are independent, that is between the modules 50 and 51 on the one hand and the modules 52 and 53 On the other hand, no data exchange takes place, so that a possible software error of one of the software paths 29 and 30 not on data transmission and data processing in the other software path 29 . 30 can affect.

Um das Risiko eines unerkannten softwarebedingten Übertragungsfehlers weiter zu reduzieren, sind die Softwarepfade 29 und 30 zudem diversitär ausgeführt. Hierunter wird verstanden, dass mindestens eines der Module 50 oder 51 des Softwarepfades 29 auf einer anderen Software, insbesondere auf einem anderen Programmcode, beruht als das funktional entsprechende Modul 52 bzw. 53 des zweiten Softwarepfades 30.To further reduce the risk of an undetected software-related transmission error, the software paths are 29 and 30 also diversified. This is understood to mean that at least one of the modules 50 or 51 the software path 29 on a different software, in particular on a different program code, is based as the functionally appropriate module 52 respectively. 53 the second software path 30 ,

Nach erfolgter Sicherung beider Kopien S_K1 und S_K2 wird durch ein Modul 54 geprüft, ob eine Funkaussendung an die Senkeneinheit 17 erfolgen soll. Als Kriterien für die Veranlassung einer Funkaussendung prüft das Modul 54, ob die eingelesenen Kopien S_K1 und S_K2 hinsichtlich der Signalwerte der Teilsignale S1 und S2 einander entsprechen. Gegebenenfalls prüft das Modul 54, ob mindestens ein Teilsignal S1 oder S2 aktiv ("1") ist oder ob in mindestens einem Teilsignal 51,52 ein Signalwechsel "1->0" stattgefunden hat. In ersterem Fall (S1="1" ODER S2="1") prüft das Modul 54 weiterhin, ob seit der letzten Funkaussendung ein Wiederholungsintervall von ca. 50ms verstrichen ist. Letztere Bedingung wird anhand einer Abfrage geprüft, ob ein entsprechender Sendewiederholungstimer t_Q abgelaufen ist, d.h. ob die Bedingung [t_Q=0]? erfüllt ist.After securing both copies S _K1 and S _K2 is by a module 54 checked whether a radio transmission to the sink unit 17 should be done. The module checks as criteria for initiating a radio transmission 54 whether the read-in copies S _K1 and S _K2 correspond to one another with regard to the signal values of the sub-signals S1 and S2. If necessary, the module checks 54 whether at least one sub-signal S1 or S2 is active ("1") or whether in at least one sub-signal 51 . 52 a signal change "1->0" has taken place. In the former case (S1 = "1" OR S2 = "1") the module checks 54 furthermore, whether a repetition interval of approx. 50 ms has elapsed since the last radio transmission. The latter condition is checked by means of a query as to whether a corresponding send repetition timer t _{Q has} expired, ie whether the condition [t _Q = 0]? is satisfied.

Sind die vorstehend genannten Prüfkriterien erfüllt, so aktiviert das Modul 54 ein nachfolgendes Modul 55. Andernfalls aktiviert das Modul 54 die Module 50 und 52 zur Wiederholung des Einlesevorgangs.If the above test criteria are met, the module activates 54 a subsequent module 55 , Otherwise, the module activates 54 the modules 50 and 52 to repeat the read-in process.

Aufgrund der hardwareseitigen Duplikation des Eingangssignals S_E liegt an den Ports 31a und 32b bzw. 31b und 32a zu jedem Zeitpunkt der gleiche Signalwert an. Programmbedingt werden die Ports 31a, 31b, 32a, 32b aber sequentiell, d.h. mit geringem zeitlichen Abstand abgelesen. Infolgedessen kann es vorkommen, dass bei einem während des Einlesevorgangs auftretenden Signalwechsel unterschiedliche Signalwerte eines oder beider Teilsignale S1 und S2 in die jeweiligen Softwarepfade 29 und 30 eingelesen werden. Eine solche funktionsbedingt vorhersehbare Informationsdiskrepanz zwischen den Kopien S_K1 und S_K2 wird durch das Modul 54 nicht im Sinne eines Übermittlungsfehlers gewertet. Vielmehr wird in diesem Fall einfach der Einlesevorgang wiederholt.Due to the hardware-side duplication of the input signal S _E is located at the ports 31a and 32b respectively. 31b and 32a the same signal value at all times. Program-related are the ports 31a . 31b . 32a . 32b but sequentially, ie read at a short time interval. As a result, it may happen that, during a signal change occurring during the read-in process, different signal values of one or both component signals S1 and S2 into the respective software paths 29 and 30 be read. Such functionally predictable information discrepancy between the copies S _K1 and S _K2 is determined by the module 54 not in the sense of a transmission error. Rather, the read-in process is simply repeated in this case.

Liegt dagegen eine die vorstehend genannten Prüfkriterien erfüllende Nutzinformation an, so werden die eingelesenen Kopien S_K1 und S_K2 zusammen mit der jeweils zugehörigen Prüfinformation I_K1, I_K2 durch das Modul 55 in einem gemeinsamen Übertragungsrahmen R zusammengefasst. Als Übertragungsrahmen R ist hierbei eine festgelegte Datenstruktur bezeichnet, deren Aufbau in 4 schematisch dargestellt ist. Der Übertragungsrahmen R umfasst danach ein auch als Header bezeichnetes Kopfsegment 56 einer vorgegebenen Bitlänge, das eine laufende Nummer sowie eine dem Funkmodul 25 der Senkeneinheit 17 zugeordnete Empfängeradresse enthält. Auf das Kopfsegment 56 folgen zwei Datensegmente 57 und 58 vorgegebener Bitlänge, von denen das erstere die Kopie S_K1 und das letztere die zugehörige Prüfinformation I_K1 enthält. An das Datensegment 58 schließt wiederum ein Trennsegment 59 an, das einen charakteristischen Wert, insbesondere "0x00", enthält. Auf das Trennsegment 59 folgen wiederum zwei Datensegmente 60 und 61, die den Inhalt der Kopie S_K2 bzw. die zugehörige Prüfinformation I_K2 enthalten. An das Datensegment 61 schließt ein Schluss segment 62 an, das wiederum einen charakteristischen Wert, insbesondere "0xFF" enthält.On the other hand, if a payload satisfying the above test criteria is present, then the read-in copies S _K1 and S _K2, together with the respective associated check information I _K1 , I _K2 , are read by the module 55 summarized in a common transmission frame R. As a transmission frame R here a fixed data structure is designated, whose structure in 4 is shown schematically. The transmission frame R then comprises a header segment, also referred to as a header 56 a given bit length, a serial number and a radio module 25 the sink unit 17 assigned recipient address contains. On the head segment 56 follow two data segments 57 and 58 predetermined bit length, of which the former contains the copy S _K1 and the latter the associated check information I _K1 . To the data segment 58 in turn closes a separation segment 59 which contains a characteristic value, in particular "0x00". On the separation segment 59 in turn follow two data segments 60 and 61 containing the content of the copy S _K2 or the associated check information I _K2 . To the data segment 61 closes a final segment 62 which in turn contains a characteristic value, in particular "0xFF".

Als zusätzliche Sicherheitsmaßnahme wird der gesamte Übertragungsrahmen R durch das Modul 55 nochmals durch Berechnung des zugehörigen 32-bit CRC als Prüfinformation I_R gesichert.As an additional security measure, the entire transmission frame R is passed through the module 55 again secured by calculation of the associated 32-bit CRC as check information I _R.

Nach Erstellung des Übertragungsrahmens R und Berechnung der zugehörigen Prüfinformation I_R wird durch ein Modul 63 der Sendewiederholungstimer t_Q gestartet. Anschließend wird durch ein Modul 64 der Übertragungsrahmen R zusammen mit der zugehörigen Prüfinformation I_R dem Funkmodul 25 zur Übertragung zugeleitet. Anschließend wird erneut der Einlesevorgang gestartet.After creation of the transmission frame R and calculation of the associated test information I _R is by a module 63 the retransmission timer t _Q started. Subsequently, by a module 64 the transmission frame R together with the associated test information I _R the radio module 25 forwarded for transmission. Subsequently, the read-in process is started again.

Durch die Softwarekonfiguration gemäß 3 wird insbesondere erreicht, dass ein aktives Teilsignal (S1="1" ODER S2="1"), solange es an der Quelleneinheit 16 anliegt, in periodischen Zeitabständen, die durch die Ablaufzeit des Sendewiederholungstimers t_q vorgegeben sind, wiederholt an die Senkeneinheit 17 gesendet und somit fortlaufend bestätigt wird. Auf diese Weise ist für die Dauer des aktiven Signalzustands eine stetige Funktionskontrolle der Quelleneinheit 16 gegeben. Insbesondere kann somit vermieden werden, dass ein aktiver Signalzustand bei einem etwaigen Zusammenbruch der Quelleneinheit 16 senkenseitig fehlerhaft aufrechterhalten wird. Andererseits wird ein expliziter Abbruch eines aktiven Signalzustands (S1="1->0" ODER S2="1->0") unverzüglich, insbesondere unabhängig von dem Stand des Sendewiederholungstimers t_Q, an die Senkeneinheit 17 weitergeleitet.Due to the software configuration according to 3 In particular, it is achieved that an active sub-signal (S1 = "1" OR S2 = "1") as long as it is connected to the source unit 16 is present at periodic intervals, which are predetermined by the expiration time of the retransmission timer t _q repeatedly to the sink unit 17 sent and thus continuously confirmed. In this way, for the duration of the active signal state, a continuous function control of the source unit 16 given. In particular, it is thus possible to prevent an active signal state in the case of a possible breakdown of the source unit 16 is maintained incorrectly on the lower side. On the other hand, an explicit termination of an active signal state (S1 = "1->0" OR S2 = "1->0") immediately, in particular regardless of the state of the retransmission timer t _Q , to the sink unit 17 forwarded.

Die in dem senkenseitigen Hostcontroller 24 implementierte Softwarekonfiguration ist nachfolgend anhand eines in 5 dargestellten Flussdiagramms verdeutlicht. Danach wird durch ein Modul 70 überprüft, ob Daten von dem senkenseitigen Funkmodul 25 empfangen und dem senkenseitigen Hostcontroller 24 zugeleitet wurden. Gegebenenfalls ermittelt ein Modul 71 durch Überprüfung der Empfängeradresse, der laufenden Nummer und der Prüfinformation I_R, ob das empfangene Datenpaket einem erwarteten Übertragungsrahmen R entspricht, und ob dieser korrekt übertragen wurde. Gegebenenfalls aktiviert das Modul 71 ein weiteres Modul 72. Anderenfalls startet das Modul 71 eine Fehlerbehandlungsroutine 73.Those in the sink-side host controller 24 Implemented software configuration is described below using an in 5 illustrated flowchart illustrates. After that is through a module 70 Checks if data from the sinkside radio module 25 received and the sink-side host controller 24 were forwarded. If necessary, a module determines 71 by checking the receiver address, the serial number and the check information I _R , whether the received data packet corresponds to an expected transmission frame R and whether it has been transmitted correctly. If necessary, the module activates 71 another module 72 , Otherwise the module starts 71 an error handler 73 ,

Das Modul 72 separiert aus einem als korrekt erkannten Übertragungsrahmen R die Kopien S_K1, S_K2 sowie die jeweils zugehörige Prüfinformation I_K1, I_K2 und leitet die Kopie S_K1 zusammen mit der zugehörigen Prüfinformation I_K1 einem Modul 74 des Softwarepfads 37 zu. Die Kopie S_K2 wird analog zusammen mit der zugehörigen Prüfinformation I_K2 einem Modul 75 des Softwarepfads 38 zugeleitet.The module 72 separated from a correctly recognized transmission frame R copies S _K1 , S _K2 and the respective associated test information I _K1 , I _K2 and forwards the copy S _K1 together with the associated test information I _K1 a module 74 the software path 37 to. The copy S _K2 is analogous together with the associated check information I _K2 a module 75 the software path 38 fed.

Durch die Module 74 bzw. 75 wird geprüft, ob die jeweilige Kopie S_K1 bzw. S_K2 korrekt übertragen wurde, d.h. mit der jeweils zugehörigen Prüfinformation I_K1 bzw. I_K2 konsistent ist. Gegebenenfalls aktiviert das Modul 74 ein Modul 76 bzw. das Modul 75 ein Modul 77. Andernfalls aktiviert dasjenige Modul 74 bzw. 75, das einen Übertragungsfehler feststellt, eine Fehlerbehandlungsroutine 78.Through the modules 74 respectively. 75 a check is made as to whether the respective copy S _K1 or S _{K2 has been} correctly transmitted, ie is consistent with the respectively associated check information I _K1 or I _K2 . If necessary, the module activates 74 a module 76 or the module 75 a module 77 , Otherwise, that module activates 74 respectively. 75 detecting a transmission error, an error handling routine 78 ,

Bei Aktivierung startet das Modul 76 bzw. 77 einen zugehörigen Empfangswiederholungstimer t_S1 bzw. t_S2. Die Aktivierung des Empfangswiederholungstimers t_S1 bzw. t_S2 zeigt an, dass zu dem bzw. bis zu dem Aktivierungszeitpunkt ein aktiver Signalzustand S1="1" ODER S2="1" in dem entsprechenden Softwarepfad 37 bzw. 38 vorlag. Der Empfangswiederholungstimer t_S1 bzw. t_S2 definiert eine Zeiterwartung auf ein nächstes ankommendes Datenpaket, das diesen Signalzustand bestätigt oder abbricht. Sollte innerhalb dieser Zeiterwartung kein gültiges Datenpaket empfangen werden, so wird ein Fehlerfall erkannt und entsprechend ein sicherer Zustand der Anlage 2 herbeigeführt.When activated, the module starts 76 respectively. 77 an associated reception repetition _timer t _S1 or t _S2 . The activation of the reception repetition _timer t _S1 or t _S2 indicates that, at or until the activation time, an active signal state S1 = "1" OR S2 = "1" in the corresponding software path 37 respectively. 38 present. The reception repetition timer t _S1 or t _S2 defines a time expectation for a next incoming data packet that confirms or aborts this signal state. If no valid data packet is received within this time expectancy, an error is detected and accordingly a safe state of the system 2 brought about.

Nach 3 ist der Empfang einer Signalbestätigung oder eines Signalabbruchs innerhalb der Ablaufzeit des Sendewiederholungstimers t_Q zu erwarten. Die durch die Ablaufzeit der Empfangswiederholungstimer t_S1, t_S2 vorgegebene Zeiterwartung beträgt 100 – 150ms und ist somit größer gewählt als die Ablaufzeit des Sendewiederholungstimers t_Q, um gegebenenfalls eine einzelne verloren gegangene Funkaussendung ohne Fehlerauslösung zu überbrücken.To 3 the reception of a signal confirmation or a signal abort within the expiration time of the retransmission timer t _{Q is} to be expected. The time expectation given by the expiration time of the reception repetition timers t _S1 , t _S2 is 100-150 ms and is thus chosen to be greater than the expiry time of the retransmission timer t _Q , in order to possibly bridge a single lost radio transmission without triggering an error.

Im Anschluss an das Starten des jeweiligen Empfangswiederholungstimers t_S1 aktiviert das Modul 76 ein nachfolgendes Modul 79, durch welches die Teilsignale S1 und S2 der Kopie S_K1 an die Ports 39a bzw. 39b ausgelesen werden. Ebenso wird durch das Modul 77 ein nachfolgendes Modul 80 aktiviert, durch welches die Teilsignale S2 und S1 der Kopie S_K2 an die Ports 40a bzw. 40b ausgelesen werden.After starting the respective reception repetition _timer t _S1 , the module activates 76 a subsequent module 79 through which the sub-signals S1 and S2 of the copy S _K1 to the ports 39a respectively. 39b be read out. Likewise, by the module 77 a subsequent module 80 activated, by which the sub-signals S2 and S1 of the copy S _K2 to the ports 40a respectively. 40b be read out.

Die nachfolgend beschriebenen Verfahrensschritte dienen zur fortlaufenden Kontrolle der von dem senkenseitigen Hostcontroller 24 ausgegebenen Signalwerte. Hierzu wird durch ein Modul 81 des Softwarepfades 37 und ein entsprechendes Modul 82 des Softwarepfades 38 überprüft, ob der jeweilige Empfangswiederholungstimer t_S1 bzw. t_S2 noch läuft. Gegebenenfalls werden durch das Modul 83 bzw. 84 die an den jeweiligen Ports 39a, 39b bzw. 40a, 40b anliegenden Signalwerte zurück gelesen. Dabei wird überprüft, ob erwartungsgemäß an mindestens einem der zurück gelesenen Ports 39a, 39b bzw. 40a, 40b ein aktiver Signalzustand ("1") anliegt.The process steps described below serve for the continuous control of the sink side host controller 24 output signal values. This is done by a module 81 the software path 37 and a corresponding module 82 the software path 38 checks whether the respective reception repetition _timer t _S1 or t _{S2 is} still running. If necessary, by the module 83 respectively. 84 the at the respective ports 39a . 39b respectively. 40a . 40b applied signal values read back. It checks whether, as expected, at least one of the read back ports 39a . 39b respectively. 40a . 40b an active signal state ("1") is present.

Stellt das Modul 81 bzw. 82 dagegen fest, dass der jeweilige Empfangswiederholungstimer t_S1 bzw. t_S2 abgelaufen ist, so aktiviert das Modul 81 ein nachfolgendes Modul 85 bzw. das Modul 82 ein nachfolgendes Modul 86. Durch das jeweilige Modul 85 bzw. 86 werden die zugeordneten Ports 39a, 39b bzw. 40a, 40b auf einen passiven Ausgabewert ("0") zurückgesetzt. Aus Sicherheitsgründen wird durch das Modul 85 bzw. 86 der Signalzustand an den jeweils angesteuerten Ports 39a, 39b bzw. 40a, 40b zurück gelesen, um zu überprüfen, ob das Zurücksetzen des Signalzustandes erfolgreich vorgenommen wurde.Represents the module 81 respectively. 82 on the other hand, it is determined that the respective reception repetition _timer t _S1 or t _{S2 has} expired, the module activates 81 a subsequent module 85 or the module 82 a subsequent module 86 , Through the respective module 85 respectively. 86 become the assigned ports 39a . 39b respectively. 40a . 40b reset to a passive output value ("0"). For safety reasons, the module 85 respectively. 86 the signal state at the respectively controlled ports 39a . 39b respectively. 40a . 40b read back to check if the signal state reset was successful.

Bei Aktivierung des Moduls 84 gibt dieses zusätzlich das externe Vergleichermodul 41 frei. Durch das alternative Modul 86 wird dagegen das Vergleichermodul 41 gesperrt.When activating the module 84 this also gives the external comparator module 41 free. Through the alternative module 86 in contrast, the comparator module 41 blocked.

Durch nachfolgende Module 87 und 88 der Softwarepfade 37 bzw. 38 wird abschließend überprüft, ob die durch die Module 83 bis 86 zurück gelesenen Signalwerte erwartungskonform sind. Gegebenenfalls wird durch erneute Aktivierung des Moduls 70 das Ablaufschema gemäß 5 erneut gestartet. Stellt dagegen eines der Module 87 oder 88 einen Lesefehler fest, so ruft es eine entsprechende Fehlerbehandlungsroutine 89 auf.By subsequent modules 87 and 88 the software paths 37 respectively. 38 is finally checked, whether by the modules 83 to 86 read back signal values are in accordance with expectations. If necessary, by re-activation of the module 70 the flowchart according to 5 restarted. Represents one of the modules 87 or 88 a read error, it calls a corresponding error handling routine 89 on.

Solange keine neuen Daten von der Senkeneinheit 17 empfangen werden, ruft das Modul 70 direkt die Module 81 und 82 auf, so dass die durch die Module 70 sowie 81 bis 88 definierte Programmschleife fortlaufend ausgeführt wird.As long as no new data from the sink unit 17 are received, the module calls 70 directly the modules 81 and 82 on, so that through the modules 70 such as 81 to 88 defined program loop is executed continuously.

Die Softwarepfade 37 und 38 sind zur Erhöhung der Übertragungssicherheit wiederum unabhängig und diversitär ausgeführt.The software paths 37 and 38 are again designed to increase the transmission reliability independent and diverse.

Claims

Method for safety-related wireless signal transmission, in which an input signal (S _E ) is duplicated and each copy (S _K1 , S _K2 ) of the duplicated input signal (S _E ) within a source unit ( 16 ) on a separate, independent software path ( 29 . 30 ) a transmitter module ( 25 ), in which all copies (S _K1 , S _K2 ) from the transmitter module ( 25 ) via a common wireless transmission link ( 13 ) to a receiver module ( 25 ) a sink unit ( 17 ), in which within the sink unit ( 17 ) each transmitted copy (S _K1 , S _K2 ) separately on an independent software path ( 37 . 38 ) a comparator module ( 41 ), and - in which by means of the comparator module ( 41 ) the output copies (S _K1 , S _K2 ) are tested for their consistency, whereby in the case of consistency by the comparator module ( 41 ) the copies (S _K1 , S _K2 ) corresponding output signal (S _A ) is generated.

Method according to claim 1, characterized in that each copy (S _K1 , S _K2 ) of the input signal (S _E ) in the associated source-side software path (S 29 . 30 ) is secured by generating an associated check information (I _K1 , I _K2 ), and that the copy (S _K1 , S _K2 ) after transmission to the sink unit ( 17 ) in the associated sink-side software path ( 37 . 38 ) is tested for transmission errors on the basis of the test information generated on the source side (I _K1 , I _K2 ).

Method according to claim 1 or 2, characterized in that within the source unit ( 16 ) from the different software paths ( 37 . 38 ) supplied copies (S _K1 , S _K2 ) for common transmission to the sink unit ( 17 ) in a transmission frame (R).

Method according to Claim 3, characterized in that the transmission frame (R) in the source unit ( 16 ) is secured by generating an associated check information (I _R ).

Method according to one of claims 1 to 4, characterized in that a plurality of sub-signals (S1, S2) comprehensive input signal (S _E ) is duplicated such that a first copy (S _K1 ) and at least one further copy (S _K2 ) the various Partial signals (S1, S2) of the input signal (S _E ) in different order.

Contraption ( 15 ) for safety-related wireless signal transmission, with a source unit ( 16 ) and one with this via a wireless transmission link ( 13 ) connected sink unit ( 17 ), - the source unit ( 16 ) a host controller ( 24 ), in which at least two independent software paths ( 29 . 30 ) for separately feeding a respective copy (S _K1 , S _K2 ) of a duplicated input signal (S _E ) to a common transmitter module ( 25 ) - the sink unit ( 17 ) a host controller ( 24 ), in which at least two independent software paths ( 37 . 38 ) for the separate output of each one of the by means of a common receiver module ( 25 ) received copies (S _K1 , S _K2 ) to a downstream comparator module ( 41 ), and - wherein the comparator module ( 41 ) is designed to test the output copies (S _K1 , S _K2 ) for consistency, and in the consistency case to produce the copies (S _K1 , S _K2 ) corresponding output signal (S _A ).

Contraption ( 15 ) according to claim 6, characterized in that each source-side software path ( 29 . 30 ) is adapted to secure the associated copy (S _K1 , S _K2 ) of the input signal (S _E ) by generating associated check information (I _K1 , I _K2 ), and that each sink-side software path ( 37 . 38 ) is designed to check the assigned copy (S _K1 , S _K2 ) on the basis of the test information generated on the source side (I _K1 , I _K2 ) for transmission errors.

Contraption ( 15 ) according to claim 6 or 7, characterized in that the input signal (S _E ) the source-side host controller ( 24 ) by means of at least one signal channel ( 19 . 20 ) comprehensive signal line ( 18 ), wherein for duplication of the input signal (S _E ) the or each signal channel ( 19 . 20 ) with one port each ( 39a . 39b . 40a . 40b ) of each software path ( 29 . 30 ) connected is.

Contraption ( 15 ) according to claim 8, characterized in that the signal line ( 18 ) a plurality of each a sub-signal (S1, S2) of the input signal (S _E ) leading signal channels ( 19 . 20 ) in different order with ports ( 39a . 39b ) of a first software path ( 29 ) and corresponding ports ( 40a . 40b ) of a second software path ( 30 ) are connected.

Contraption ( 15 ) according to one of claims 6 to 9, characterized in that the comparator module ( 41 ) is designed as a hardware comparator.

Contraption ( 15 ) according to one of claims 6 to 10, characterized in that the comparator module ( 41 ) is designed to output in the inconsistency case a si chere state inducing output signal (S _A ).

Contraption ( 15 ) according to one of claims 6 to 11, characterized in that the source unit ( 16 ) and the sink unit ( 17 ) one controller board each ( 23 ) containing the host controller ( 24 ) as well as the transmitter module ( 25 ) or receiver module ( 25 ) contains.

Contraption ( 15 ) according to claim 12, characterized in that as a transmitter module or receiver module designed as a combined transmitting / receiving component radio module ( 25 ) is used.

Contraption ( 15 ) according to claim 13, characterized in that the source unit ( 16 ) or the sink unit ( 17 ) associated controller boards ( 23 ) are identical in terms of their electronic design.

Contraption ( 15 ) according to claim 13 or 14, characterized in that the radio module ( 25 ) is designed as a Bluetooth module.

Contraption ( 15 ) according to one of claims 6 to 15, characterized by the or each host controller ( 24 ) associated monitoring module ( 26 ), which is designed to ensure the proper functioning of the host controller ( 24 ) based on a monitoring module ( 26 ) by the host controller ( 24 ) to monitor transmitted periodic trigger signal (T), and the host controller ( 24 ) to reset to a defined initial state in the event of an error.

Contraption ( 15 ) according to one of claims 6 to 16, characterized in that the sink unit ( 17 ) a monitoring module ( 43 ), which is designed to ensure the proper functioning of the associated host controller ( 24 ) based on a monitoring module ( 43 ) by the host controller ( 24 ) to monitor the transmitted periodic trigger signal (T), and in the event of an error, the comparator module ( 41 ) directly to the output of a safe state inducing output signal (S _A ) to control.

Contraption ( 15 ) according to one of claims 6 to 17, characterized in that each software path ( 29 . 30 . 37 . 38 ) at least one software module ( 50 - 53 . 74 - 88 ), wherein at least two mutually functionally corresponding software modules ( 50 . 52 ; 51 . 53 ; 74 . 75 ; ...) parallel software paths ( 29 . 39 ; 37 . 38 ) are executed differently.